インテリジェント検査

インテリジェント検査の利点

• 重要なIDP検査を重視します。

• 優先度の低いIDPインスペクションを回避します。

• 高いシステムリソースの使用量を削減します。

IDPインテリジェントインスペクションを調整するためのセキュリティメカニズム

以下の設定では、IDP システムを微調整してパフォーマンスを最適化し、重大な脅威に集中できます。

• 動的ポリシー:Critical、Major、Minor は、シグネチャの 3 つの重要な重大度です。ポリシーを動的に調整して、必要な重大度レベルのシグニチャのみを含めることができます。重大度のクリティカルなシグネチャのみを含めるには、 set security idp sensor-configuration flow intel-inspect-signature-severity critical コマンドを使用します。重大度が重大およびメジャーのシグネチャを含めるには、コマンド set security idp sensor-configuration flow intel-inspect-signature-severity majorを使用します。重大度、メジャー、マイナーの両方の重大度のシグネチャを含めるには、コマンド set security idp sensor-configuration flow intel-inspect-signature-severity minorを使用します。既定では、重大度が「重大」の攻撃が含まれます。

• コンテンツの解凍:コンテンツの圧縮解除は、 Intel Inspect が有効で、しきい値に達した場合にのみ回避できます。プロトコル デコーダーは、コンテンツが圧縮状態の場合、プロトコル コンテンツを解凍します。 set security idp sensor-configuration flow intel-inspect-disable-content-decompress コマンドを設定することで、プロトコルコンテンツの解凍を回避できます。

• 選択的プロトコル—デフォルトでは、IDPはすべての重要なプロトコルを検査します。IDP 処理の重要なプロトコルのリストを指定できます。プロトコルのリストを指定するには、 set security idp sensor-configuration flow intel-inspect-protocols protocol コマンドを使用します。IDPは重要でないプロトコルを検査しません。

• 検査の深さ—デフォルトでは、IDP はセッションのすべてのバイトを検査します。インスペクションの深さを指定することで、IDP はインスペクションを指定されたバイト数のみに制限します。検査深度を有効にするには、コマンド set security idp sensor-configuration flow intel-inspect-session-bytes-depth valueを使用します。デフォルトでは、IDPインテリジェントインスペクションはインスペクション深度を無効にし、すべてのバイトがインスペクションされることを意味します。

CPU使用率

IDP インスペクションのしきい値制限を設定できます。CPU使用率が設定されたしきい値に達すると、IDPインテリジェントインスペクションがアクティブになります。

しきい値制限を設定するには、次のコマンドを使用します。

• set security idp sensor-configuration flow intel-inspect-cpu-usg-threshold value

• set security idp sensor-configuration flow intel-inspect-cpu-usg-tolerance value

図 1: CPU 使用率について

CPU 使用率は次のように動作します。

• IDP は、CPU 使用率が設定されたインテリジェント検査しきい値に達すると、新しいセッションでの完全な IDP 処理を停止します。IDP は、調整されたセキュリティ検査のみを処理します。この動作により、syslog メッセージがトリガーされ、IDP インテリジェント インスペクションがアクティブになります。

• CPU 使用率がインテリジェント インスペクションしきい値を超え、IDP バイパスしきい値とインテリジェント インスペクション下限しきい値の間にある場合、IDP はインテリジェント インスペクション モードで機能し続けます。

• IDP は、新しいセッションで完全な IDP インスペクションを開始し、CPU 使用率がインテリジェント インスペクションの下限しきい値を下回ると、syslog をトリガーして IDP インテリジェント インスペクションを非アクティブ化します。

• IDPインテリジェントバイパス機能は、CPU使用率がIDPバイパスしきい値に達するとアクティブになります。

メモリ使用率

IDP インスペクションのメモリ制限を設定できます。メモリ使用量が設定された制限に達すると、IDP インテリジェント インスペクションがアクティブになります。

使用可能なメモリ制限を設定するには、次のコマンドを使用します。

• set security idp sensor-configuration flow intel-inspect-free-mem-threshold value

• set security idp sensor-configuration flow intel-inspect-mem-tolerance value

図 2: メモリ使用量について

メモリ使用率は、次のように動作します。

• IDP は、メモリ使用率がインテリジェント インスペクション使用可能なメモリの下限しきい値に達すると、IDP インテリジェント インスペクション モードをアクティブにします。

• IDP は、メモリ使用率がインテリジェント検査メモリ上限しきい値とメモリ下限しきい値の間にある場合、インテリジェント検査モードで機能し続けます。

• IDP は、メモリ使用率が使用可能なメモリの下限しきい値に達すると、IDP バイパス機能をアクティブにします。

• IDP は、メモリ使用率が低下し、インテリジェント インスペクション使用可能メモリの上限しきい値を超えると、通常モードにアクティブになります。

制約

IDP インテリジェント インスペクションは、プライマリ論理システム レベルでのみサポートされます。